Wenn die IT ausfällt — wer entscheidet was?
Ein Server bricht zusammen. Ransomware verschlüsselt das Dateisystem. Ein Brand legt den Rechnerraum lahm. In diesen Momenten zählt nicht Technikwissen — entscheidbar ist Geschwindigkeit und klare Verantwortung. Wer ruft wen an? Welche Systeme haben Priorität? Ab wann schalten wir auf Notbetrieb um?
Für Mittelständler ab 50 Mitarbeitern wird Business Continuity Management (BCM) durch die NIS2-Richtlinie zur gesetzlichen Pflicht. Bußgelder bei Verstößen: bis zu 10 Mio. € oder 2 % des Jahresumsatzes. Aber jenseits der Regulierung ist ein Notfallplan schlicht überlebenswichtig — je nach Branche und Betriebsgröße kann jede Stunde Stillstand von einigen Tausend bis zu mehreren zehntausend Euro kosten.
In diesem Artikel zeigen wir, wie Sie einen praxistauglichen IT-Notfallplan erstellen, ohne sich in ISO-Normen zu verlieren.
Was NIS2 von Ihnen verlangt
Die NIS2-Richtlinie (umgesetzt im Deutschen NIS2-UmsuCG am 6. Dezember 2025) definiert explizit Anforderungen an das Krisenmanagement:
Artikel 21(2)(d) NIS2: „Maßnahmen zur Bewältigung von Störungen und Vorfällen, einschließlich Notfallplänen, Wiederherstellungsprozeduren und Sicherheitsüberprüfungen.”
Für betroffene Unternehmen bedeutet das konkret:
- Dokumentierte Prozesse für IT-Incident-Eskalation
- Benannte Verantwortlichkeiten (Krisenstab mit klaren Rollenzuordnungen)
- Regelmäßige Tests (mind. jährlich, dokumentiert)
- Meldepflichten an das BSI innerhalb von 24 Stunden bei schwerwiegenden Vorfällen
Die Größe des Unternehmens bestimmt den Aufwand: Ein Betrieb mit 80 Mitarbeitern braucht kein ausuferndes BCM-System — aber er braucht nachvollziehbare Abläufe.
Die vier Säulen eines praxistauglichen IT-Notfallplans
1. Risikoanalyse und Business Impact Analysis (BIA)
Bevor Sie Pläne schreiben, müssen Sie wissen, was ausfallen kann:
| System / Prozess | Auswirkung bei 4h-Störung | Priorität | Max. Downtime |
|---|---|---|---|
| E-Mails & Chat | Kommunikation unterbrochen, Kundenkontakt fehlt | Hoch | 24 Std. |
| Buchhaltungssystem | Zahlungen können nicht getätigt werden | Kritisch | 8 Std. |
| Produktionssteuerung | Fertigung steht still | Lebenswichtig | 1–2 Std. |
| CRM-System | Vertrieb pausiert | Mittel | 72 Std. |
Praxis-Tipp: Führen Sie diesen Work-shop nicht allein im IT- Department durch! Geschäftsführung, Vertrieb, Produktion und Buchhaltung müssen priorisieren — die IT kann nur unterstützen bei der technischen Umsetzung.
2. Eskalationsmatrix mit direkter Verantwortung
Klare Kette: Wann eskaliere ich von Helpdesk → Systemadministrator → CIO → Krisenstab?
| Incident-Schwere | Erstkontakt | Entscheidungsbefugnis | Eskalation nach | Maßnahmen-Check |
|---|---|---|---|---|
| P4 (minor) | Service-Desk (intern) | IT-Leiter | 8 Std. | Standard-Werkzeuge, Backups testen |
| P3 (medium) | IT-Leitung | CIO | 2 Std. | Systemtausch, Priorisierung Wartungsteams |
| P2 (major) | CIO | Krisenstab-GF | 30 Min. | Externe Notfall-Spezialisten aktivieren, Kunden informieren |
| P1 (critical) | GF direkt | Geschäftsführung + externer Berater | Sofort | Alle Ressourcen mobilisieren, Behörden informieren |
Wichtig: Die Telefonkette mit allen Nummern muss auch offline verfügbar sein. Ein ausgedrucktes „Notfallheft” im Tresor oder in der Handtasche des GF ist kein optionales Extra.
3. Rollen und Aufgaben im Krisenstab
Ein IT-Notfall erfordert mehr als nur Techniker:
| Rolle | Wer? (Name eintragen) | Ersatzperson | Aufgabe |
|---|---|---|---|
| Krisenstab-Leitung | Geschäftsführer | Prokurist | Gesamtkoordination, externe Kommunikation |
| IT-Koordinator | CIO / IT-Leitung | Senior SysAdmin | Technische Maßnahmenpriorisierung, externe IT-Notfallteams einbinden |
| Recht/Compliance | Fachanwalt DSB oder GF | Datenschutzbeauftragter (extern) | Meldepflichten prüfen, Verträge/Auflagen checken |
| Kundenkommunikation | Key-Account-Leitung | Marketing/Sekretariat | Kunden proaktiv informieren (transparent, nicht alarmistisch) |
| Medienkontakt | Geschäftsführung | PR-Berater (im Retainer) | Nur bei öffentlicher Betroffenheit — einheitliche Sprechlinie |
Praxistipp: Führen Sie ein Krisenstab-Protokoll, das jede Entscheidung Zeitstempel und Begründung dokumentiert. Das ist später vor Gericht oder gegenüber Versicherungen entscheidend.
4. Technische Wiederherstellungsstrategien (RTO/RPO)
Jedes System hat definierte Zielwerte:
- RTO (Recovery Time Objective): Wie lange darf das System ausfallen?
- RPO (Recovery Point Objective): Wie viele Daten dürfen maximal verloren sein?
| System | RTO | RPO | Backup-Wiederherstellungstechnik |
|---|---|---|---|
| Domain Controller | 4 Std. | 15 Min. | VM-Snapshot aus Failover-Cluster, AD-Forest-Recovery |
| Dateiserver | 8 Std. | 4 Std. | Wiederherstellung aus offsite-Backup, Bandlaufwerk lokal |
| Buchhaltung | 24 Std. | 24 Std. | Tägliche Exporte in verschlüsseltes Offsite-/Cold-Storage-Backup (EU-Rechenzentrum) |
| E-Mail-Server | 12 Std. | 1 Std. | Failover zum Secondary Exchange Online Tenant, MX-Switch |
Checkliste: Erste Schritte in den ersten 4 Stunden
0–15 Minuten:
- Alarmierung nach Eskalationsmatrix — Telefonkette abgearbeitet
- Krisenstab virtuell oder physisch zusammenrufen (Teams/Signal mit Back-up-Canale)
- Erstes Impact-Bild: Wie viele Systeme, welche Bereiche betroffen?
15–60 Minuten: 4. Isolation kompromittierter Systeme vom Netzwerk (Stecker ziehen!) 5. Externe Forensik-Partner verständigen — Verträge liegen sollten vor 6. Erstmeldung an BSI prüfen (bei schwerwändigen Vorfällen innerhalb 24h)
1–4 Stunden: 7. Entscheidung: Notbetrieb aktivieren? Wenn ja, wo und welche Systeme stehen bereit? 8. Kundenkommunikation starten (transparent halten: „Wir arbeiten an der Lösung” ohne technische Details zu verraten) 9. Dokumentation: Jeder Schritt Zeitstempel + durchführende Person festhalten
Was passiert, wenn Sie keinen Plan haben?
Jenseits des NIS2-Bußgeldes (€10 Mio. oder 2 % Umsatz) gibt es betriebswirtschaftliche Konsequenzen:
- Cyber-Versicherungen koppeln ihre Leistung zunehmend an nachweisbare Sicherheits- und Notfallvorsorge; fehlt diese, drohen Leistungskürzungen oder -verweigerung. Die konkreten Bedingungen ergeben sich aus dem jeweiligen Versicherungsvertrag.
- Rechtssicherheit: Bei einem Datenleck können Schadensersatzforderungen von Kunden entstehen — ohne dokumentierte Maßnahmen ist die eigene Position schwach.
Ein typisches Szenario verdeutlicht das Risiko: Lagert ein Betrieb alle Kopien seines Produktions- oder Notfallplans am selben Ort, kann bereits ein Brand oder ein verschlüsselnder Ransomware-Angriff die Wiederanlaufplanung komplett lahmlegen — mit Lieferverzug und Vertragsstrafen als Folge. Genau davor schützt eine räumlich und logisch getrennte Aufbewahrung.
Vorbereitung ist besser als Reaktion — regelmäßiges Training
Ein Plan auf Papier hilft wenig, wenn niemand die Abläufe kennt.
- Jährlicher Tabletop: Krisenstab trifft sich 90 Minuten ohne reale IT-Ausfälle — wird ein simulierter Notfall durchgespielt (z.B. „Ransomware verschlüsselt alle Server um 14:30 Uhr auf einem Montag”)
- Hälfte jährlich technischer Test: Wiederherstellung aus Offsite-Backup an isolierter Umgebung prüfen, RTO/RPO dokumentieren
- Nach jedem echten Vorfall: Nachbereitung (Post-Mortem) mit Lessons-Learned — den Plan aktualisieren
Fazit: Ihr erster Schritt in 3 Tagen
Sie müssen kein BCM-Konzept der Größe Siemens entwickeln. Für einen Mittelständler ist folgendes machbar:
- Tag 1: BIA-Work-shop mit GF, IT-Leitung und Key-Stakeholdern (2–3 Stunden)
- Tag 2: Krisenstab-Matrix eintragen + Eskalationsmatrix absegnen (1–2 Stunden)
- Tag 3: Checklisten ausdrucken, Telefonlisten aktualisieren, Protokollvorlage verteilen (1 Stunde)
Insgesamt unter einem Arbeitstag Aufwand — mit Wirkung, die Sie nie wieder bereuen.
Brauchen Sie Unterstützung bei der Erstplanung?
Wir begleiten Mittelständler bei der NIS2-konformen Erstellung von IT-Notfallplänen: Vom BIA-Workshop bis zum fertigen Krisenstab-Handbuch. Der Ernstfall selbst gehört in professionelle Hände — siehe unser Bereich Incident Response & IT-Forensik. Warum ein Backup allein noch kein Notfallplan ist, zeigt außerdem unser Beitrag Der Backup-Mythos im Mittelstand. Kostenloses Erstgespräch vereinbaren.
Quellen
- BSI Checkliste „Ich habe einen IT-Sicherheitsvorfall”: https://www.bsi.bund.de/DE/IT-Sicherheitsvorfall/Unternehmen/Ich-habe-einen-IT-Sicherheitsvorfall-Checkliste-Organisatorisches/ich-habe-einen-it-sicherheitsvorfall-checkliste-organisatorisches_node.html
- NIS2-Umsetzungsgesetz (BGBl I Nr. 301, S. 18): https://www.gesetze-im-internet.de/nis2ug_2025/
- OpenKRITIS BCM-Anforderungen: https://www.openkritis.de/massnahmen/business_continuity_management-bcms-kritis.html
- IHK Muster-IT-Notfallplan München: https://www.ihk-muenchen.de/ratgeber/digitalisierung/informationssicherheit/muster-it-notfallplan